Assessing the Forensic Viability of Android Memory Analysis Across Production Builds: A Cross-Version Study of Security Hardening and Structure Preservation

あなたのスマートフォンを、活気にあふれた高セキュリティの都市だと想像してみてください。この都市の中では、アプリは忙しく働く「ショップ」であり、RAM（メモリ）は現在行われているすべての取引が行われる「一時的なワークスペース」です。あなたが秘密のメッセージを送ったり、アカウントにログインしたりするとき、データはそのワークスペース内に一瞬存在し、その後削除されるかハードドライブへと移動されます。デジタル・フォレンジックとは、証拠が消えてしまう前に、このワークスペースに忍び込んで証拠を掴む技術です。しかし、ここに落とし穴があります。都市の設計者たち（Google）は、より高い壁を築き、道路標識を取り除いてきました。かつて、調査官はマップ（デバッグ・シンボル）を持って中に入り、「秘密のメッセージ」ショップがどこにあるのかを正確に知ることができました。しかし現在、街からはそれらの標識が剥ぎ取られ、調査官たちは、ショップがまだそこにあるのかさえ分からず、空白の壁を見つめて立ち尽くしているのです。

この論文は、たとえ看板がなくなっても、それらのショップがまだ建っているのかどうかを描いた探偵物語です。研究者たちはこう問いかけました。「Googleは私たちが実際に購入するスマートフォンからマップを取り除いたが、建物自体も移動させてしまったのだろうか？」彼らは、Androidシステムの「設計図（ブループリント）」バージョン（開発者が使用し、完全なマップを持っているもの）と、「プロダクション」バージョン（一般の人が手にする、すべての標識が剥ぎ取られたもの）を比較しました。その結果、道路標識は確かに消えていたものの、建物自体は動いていないことが分かりました。メモリのレイアウトは依然として同じであり、ただ名前のタグがなくなっただけなのです。これは、少しの追加の調査工作――つまり、一致するバージョンの都市の設計図を使うことで、最も現代的で強化されたスマートフォンであっても、調査官が証拠を見つけ出せることを意味しています。

大規模なマップ強奪事件

長年、デジタル・フォレンジックの専門家は、Androidスマートフォンの混沌としたメモリをナビゲートするために、libart.so というライブラリ・ファイルに頼ってきました。このファイルを、巨大な図書館のマスターディレクトリだと考えてください。この中には、あらゆる本、あらゆる棚、そして各段落が正確にどこに位置しているかの完全なリストがありました。これらのリストは「シンボル」と呼ばれていました。もし調査官が、復号されたチャットメッセージのような特定の証拠を見つけたいと思えば、ディレクトリの中で「chat」というシンボルを検索するだけで、ツールはメモリ内のどこを探すべきかを正確に把握できたのです。

しかし、Googleはスマートフォンをハッカーに対してより安全にするため、「ハードニング（要塞化）」キャンペーンを開始しました。ハッカーが完全なディレクトリを持っていれば、システムへの侵入経路を簡単に見つけられてしまうことに気づいたからです。そこで、彼らは実際に店頭に並ぶスマートフォンから、これらのディレクトリを剥ぎ取り始めました。静的シンボル（メインのリスト）、ソースファイル参照（著者のメモ）、そして動的シンボルの多くを取り除いたのです。それは、図書館からカードカタログを取り除き、司書がドアを開けられるように最低限のラベルだけを残し、それ以外をすべて隠してしまうようなものでした。

大きな疑問はこうでした。彼らは単にラベルを外しただけなのか、それとも棚の配置まで変えてしまったのか？ もし棚が移動してしまっていたら、たとえ古いバージョンの図書館の設計図を持っていたとしても、それは役に立たないからです。

探偵の仕事

これを解決するために、研究者たちは「タイムトラベルする司書」のように振る舞いました。彼らは2つのバージョンのAndroidシステムを入手しました：

1. 「開発者用」ビルド： 完全なディレクトリ（設計図）が残っているバージョン。
2. 「プロダクション」ビルド： Google Pixel 7で実際に動作している、削ぎ落とされた現実のバージョン。

彼らはまず、数字を確認しました。古いAndroid 8のバージョンでは、ライブラリには 20,495 個の静的シンボルがありました。新しいAndroid 15では、その数は ゼロ に減少しました。どのコードファイルから関数が来たのかを示すソースファイル参照も、完全に消失しました。動的シンボル（動作のために残しておく必要がある数少ないラベル）は、6,577 から 2,614 へと、約 60パーセント 減少しました。

これはフォレンジックにとって災厄のように見えました。しかし、彼らはさらに深く掘り下げました。彼らはメモリの実際の構造――つまり「棚」や「本」そのもの――をチェックしました。彼らはAndroid 8のスマートフォンとAndroid 15のスマートフォンのメモリマップを比較しました。すると、コアとなる構造、例えば「ヒープ（アプリがデータを保存する場所）」や「ガベージコレクター（古いデータを掃除するもの）」は、依然として存在していることが分かりました。それらは単に名前が少し変わっただけだったのです。例えば、Android 8の dalvik-allocspace main rosalloc というメモリ空間は、Android 15では dalvik-allocspace non moving になっていました。建物は動いたのではなく、住所が変わったわけでもなく、ただ名前が変わっただけでした。

「魔法の設計図」トリック

この論文の最もエキサイティングな部分は、彼らが繰り出した「手品」です。スマートフォン自体にはマップがないため、研究者たちは一致するバージョンのマップを借りることにしました。

彼らはAndroid 15の「開発者用」ビルド（完全なマップを保持しているもの）を取り、特定の構造への正確なオフセット（バイト単位の距離）を見つけ出しました。次に、そのオフセットを、マップのない「プロダクション」版のPixel 7に適用しました。

以下のようなことが起こりました：

1. 彼らは、スマートフォンの動作に不可避な単一のシンボルを使用して、「Runtime」オブジェクト（スマートフォンのメモリを管理するメインマネージャー）を見つけ出しました。
2. 次に、「開発者用」のマップを使用して、そのRuntimeオブジェクト内のどこに「Heap（データストレージ）」が位置しているかを特定しました。
3. その距離を「プロダクション」版のスマートフォンに適用しました。
4. 結果： 完璧に機能しました。彼らが計算したポインタは、実際のスマートフォン上の全く同じ有効なメモリアドレスへと導かれました。

彼らはこれを「Thread List」や「Bump Pointer Space」に対しても繰り返し行いましたが、毎回、開発者バージョンの設計図は、削ぎ落とされたプロダクション・スマートフォン上の正しい場所にたどり着きました。

将来への意味

この論文は、フォレンジックの「イージーモード」は終わったものの、ゲームが終わったわけではないことを示唆しています。セキュリティの強化はメモリのアーキテクチャを破壊したのではなく、単にラベルを隠しただけなのです。

• 朗報： メモリの内部レイアウトは保持されています。もし、調査対象のスマートフォンと完全に一致するバージョンの「開発者用」ビルドがあれば、そのマップを使って削ぎ落とされたスマートフォンをナビゲートできます。
• 悲報： 古いマップをそのまま使うことはできません。論文では、構造のオフセットは異なるAndroidバージョン間（例：Android 14対15）で変化すると指摘されています。したがって、Android 15のケースを解決するためにAndroid 8のマップを使うことはできません。バージョンが一致する設計図が必要です。
• 注意点： このプロセスは今や非常に手動的になっています。調査官は単に「証拠を探す」と指示するツールを実行するだけでは済みません。スマートフォンの正確なバージョンを見つけ、一致する開発者用ビルドを引き出し、特定の距離を抽出して、それを手動で適用しなければなりません。

また、研究者たちは、このテストをGoogle Pixelデバイスに対してのみ行ったと述べています。他のメーカー（SamsungやXiaomiなど）も同様のことをしているのか、あるいは彼らは棚の配置自体を変えてしまったのかについては不明です。しかし、彼らがテストしたデバイスに関しては、結論は明白です。都市はそこにあり、建物は動いていませんが、そこを歩き回るためには自分自身のマップを持ってくる必要があるのです。